(57)【要約】【課題】  トンネルサーバを用いてＩＰｖ４トンネリングを行う場合でもファイアウォールによるパケット通過、廃棄制御を行うことを可能とする。【解決手段】ＩＰｖ６パケットをＩＰｖ４トンネリングにより送受信する機能を有し、ＩＰｖ６ネットワークとＩＰｖ４ネットワーク間でＩＰｖ６パケットの中継を行うパケット中継装置において、ＩＰｖ６パケットの通過許否判断を行うための規則を含むポリシー情報と、前記ポリシー情報の内容に基づきＩＰｖ６パケットの通過許否を行うパケットフィルタリング手段と、ＩＰｖ４ネットワークに接続された端末装置から、当該端末装置と他の端末装置間の通信に関するＩＰｖ６パケットの通過許否制御命令を受信し、前記通過許否制御命令が前記端末装置から送られたものであることの認証を行い、認証に成功した場合に前記通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段とを備える。【選択図】  図２
2006352710.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰｖ６パケットをＩＰｖ４トンネリングによりＩＰｖ４ネットワークを介して送受信する機能を備え、ＩＰｖ６ネットワークとＩＰｖ４ネットワーク間でＩＰｖ６パケットの中継を行うパケット中継装置であって、
ＩＰｖ６パケットの通過許否判断を行うための規則を含むポリシー情報と、
前記ポリシー情報の内容に基づきＩＰｖ６パケットの通過許否を行うパケットフィルタリング手段と、
ＩＰｖ４ネットワークに接続された端末装置から、当該端末装置と他の端末装置間の通信に関するＩＰｖ６パケットの通過許否制御命令をＩＰｖ４トンネルを経由して受信し、前記通過許否制御命令が前記端末装置から送られたものであることの認証を行い、認証に成功した場合に前記通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段と
を備えたことを特徴とするパケット中継装置。
【請求項２】
前記パケット中継装置は、ＩＰｖ４ネットワークに接続された前記端末装置からトンネル接続要求を受信したときに、前記端末装置に対してＩＰｖ６アドレスを払い出し、前記端末装置の識別情報と当該ＩＰｖ６アドレスとを対応付けて記憶手段に格納し、
前記通過許否制御手段は、前記通過許否制御命令に含まれる前記端末装置のＩＰｖ６アドレスが、前記端末装置のＩＰｖ６アドレスとして前記記憶手段に存在するか否かを確認することにより前記認証を行う請求項１に記載のパケット中継装置。
【請求項３】
前記パケット中継装置は、前記端末装置を認証するための認証情報を前記端末装置と対応付けて記憶手段に保持し、
前記通過許否制御手段は、前記通過許否制御命令に含まれる認証情報が、前記端末装置の認証情報として前記記憶手段に存在するか否かを確認することにより前記認証を行う請求項１に記載のパケット中継装置。
【請求項４】
ＩＰｖ６パケットをＩＰｖ４トンネリングによりＩＰｖ４ネットワークを介して送受信する機能を備え、ＩＰｖ６ネットワークとＩＰｖ４ネットワーク間でＩＰｖ６パケットの中継を行うパケット中継装置であって、
前記パケット中継装置は、セッション管理装置と相互認証に基づく暗号化チャネルにより接続され、当該セッション管理装置は、ＩＰｖ４ネットワークに接続された端末装置と相互認証に基づく暗号化チャネルにより接続され、ＩＰｖ６ネットワークに接続された他の端末装置と相互認証に基づく暗号化チャネルにより接続され、前記端末装置と前記他の端末装置間の通信のためのセッション情報を中継するシグナリング機能を備え、
前記パケット中継装置は、
ＩＰｖ６パケットの通過許否判断を行うための規則を含むポリシー情報と、
前記ポリシー情報の内容に基づきＩＰｖ６パケットの通過許否を行うパケットフィルタリング手段と、
前記セッション管理装置から、前記端末装置と前記他の端末装置間の通信に関するＩＰｖ６パケットの通過許否制御命令を受信し、当該通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段と
を備えたことを特徴とするパケット中継装置。
【請求項５】
第１のネットワークと第２のネットワーク間でパケットの中継を行うパケット中継装置であって、
所定のプロトコルに基づくトンネルを介して第１のネットワークに接続された端末装置とパケットの送受信を行う手段と、
前記パケットの通過許否判断を行うための規則を格納したポリシー情報と、
前記ポリシー情報の内容に基づき前記パケットの通過許否を行うパケットフィルタリング手段と、
第１のネットワークに接続された前記端末装置から、当該端末装置と他の端末装置間の通信に関するパケットの通過許否制御命令を、前記端末装置と前記パケット中継装置間のトンネルを介して受信し、当該通過許否制御命令が前記端末装置から送られたものであることの認証を行い、認証に成功した場合に前記通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段と
を備えたことを特徴とするパケット中継装置。
【請求項６】
ＩＰｖ６パケットをＩＰｖ４トンネリングによりＩＰｖ４ネットワークを介して送受信する機能と、ＩＰｖ６ネットワークとＩＰｖ４ネットワーク間でＩＰｖ６パケットの中継を行う機能を備えたパケット中継装置を、
ＩＰｖ６パケットの通過許否判断を行うための規則を含むポリシー情報に基づきＩＰｖ６パケットの通過許否を行うパケットフィルタリング手段、
ＩＰｖ４ネットワークに接続された端末装置から、当該端末装置と他の端末装置間の通信に関するＩＰｖ６パケットの通過許否制御命令をＩＰｖ４トンネルを経由して受信し、前記通過許否制御命令が前記端末装置から送られたものであることの認証を行い、認証に成功した場合に前記通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段、
として機能させるためのプログラム。
【請求項７】
第１のネットワークと第２のネットワーク間でパケットの中継を行うパケット中継装置であって、所定のプロトコルに基づくトンネルを介して第１のネットワークに接続された端末装置とパケットの送受信を行う手段を備えたパケット中継装置を、
前記パケットの通過許否判断を行うための規則を格納したポリシー情報の内容に基づき前記パケットの通過許否を行うパケットフィルタリング手段、
第１のネットワークに接続された前記端末装置から、当該端末装置と他の端末装置間の通信に関するパケットの通過許否制御命令を、前記端末装置と前記パケット中継装置間のトンネルを介して受信し、当該通過許否制御命令が前記端末装置から送られたものであることの認証を行い、認証に成功した場合に前記通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットをカプセリングして通信を行うトンネリングサービスに関するものである。また、本発明は、外部ネットワークからの不許可アクセスを防止するファイアウォール技術にも関連する。
【背景技術】
【０００２】
近年、インターネットプロトコルとしてＩＰｖ６が使われ始めているが、一般的には多くのネットワークでＩＰｖ４が使用されている。このような状況の中、ＩＰｖ４のみに対応したネットワークに接続された端末が、ＩＰｖ６に対応したネットワークに接続された端末と通信することを可能とする技術の一例としてＩＰｖ６パケットをＩＰｖ４パケットヘッダでカプセリングするＩＰｖ４トンネリング技術がある。図１を用いてこのＩＰｖ４トンネリング技術の概要を説明する。
【０００３】
図１に示すように、端末１がＩＰｖ４ネットワーク４に接続され、端末２及び端末３がそれぞれＩＰｖ６ネットワーク５に接続され、ＩＰｖ４ネットワーク４とＩＰｖ６ネットワーク５の両方に接続される中継ノード（トンネルサーバ６）が備えられている。また、端末１は、例えばいわゆるホームネットワーク内の端末でありＩＰｖ４対応ファイアウォール７の配下にある。
【０００４】
図１の構成において、端末１は、端末２又は端末３とＩＰｖ６パケットを用いて通信を行うが、ＩＰｖ６パケットをＩＰｖ４ネットワーク４を介して送受信するために、ＩＰｖ６パケットをＩＰｖ４パケットヘッダでカプセリングして送信し、受信したパケットをデカプセリングしてＩＰｖ６パケットを取り出す。また、トンネルサーバ６は、ＩＰｖ６ネットワーク５を介して受信したＩＰｖ６パケットをＩＰｖ４パケットヘッダでカプセリングして端末１に送信し、端末１から受信したパケットをデカプセリングしてＩＰｖ６パケットを取り出し、それを通信相手端末２又は３に送信する。すなわち、端末１とトンネルサーバ６間でＩＰｖ４トンネルが構築され、そのトンネルを介して端末間でＩＰｖ６パケットの送受信が行われる。
【０００５】
なお、関連技術として、特許文献１には、ホームネットワークに連結された情報機器と他ホームネットワークに連結された情報機器との間でＶＰＮトンネルを介してデータをやり取りする技術が開示されている。
【特許文献１】特開２００４−３２０７６６号公報
【特許文献２】国際公開公報ＷＯ２００５／０４３２８１
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上記のＩＰｖ４トンネル方式は実現も容易で利便性が高いものである。しかしながら、ＩＰｖ４トンネルが構築された後、端末１を配下に持つＩＰｖ４ファイアウォール７は、全てのトンネルパケットを通過させることになり、ＩＰｖ６ネットワークからの端末１への不正アクセス等の発生の恐れが生じ、セキュリティ上問題がある。
【０００７】
すなわち、ＩＰｖ４トンネルが構築された後は、通信相手端末が送出したパケットはカプセリングにより隠蔽されるので、通信相手端末が送出したパケットヘッダを参照して通過、廃棄等の制御を行うＩＰｖ４ファイアウォールは、通信相手端末が送出したパケットに対する制御ができなくなり、全てのトンネルパケットを通過させることになる。
【０００８】
本発明は上記の問題点に鑑みてなされたものであり、トンネルサーバを用いてＩＰｖ４トンネリングを行う場合でもファイアウォールによるパケット通過、廃棄制御を行うことを可能とする技術を提供することを目的とする。  
【課題を解決するための手段】
【０００９】
上記の課題は、ＩＰｖ６パケットをＩＰｖ４トンネリングによりＩＰｖ４ネットワークを介して送受信する機能を備え、ＩＰｖ６ネットワークとＩＰｖ４ネットワーク間でＩＰｖ６パケットの中継を行うパケット中継装置であって、ＩＰｖ６パケットの通過許否判断を行うための規則を含むポリシー情報と、前記ポリシー情報の内容に基づきＩＰｖ６パケットの通過許否を行うパケットフィルタリング手段と、ＩＰｖ４ネットワークに接続された端末装置から、当該端末装置と他の端末装置間の通信に関するＩＰｖ６パケットの通過許否制御命令をＩＰｖ４トンネルを経由して受信し、前記通過許否制御命令が前記端末装置から送られたものであることの認証を行い、認証に成功した場合に前記通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段とを備えるパケット中継装置により解決できる。
【００１０】
また、前記パケット中継装置は、ＩＰｖ４ネットワークに接続された前記端末装置からトンネル接続要求を受信したときに、前記端末装置に対してＩＰｖ６アドレスを払い出し、前記端末装置の識別情報と当該ＩＰｖ６アドレスとを対応付けて記憶手段に格納し、前記通過許否制御手段は、前記通過許否制御命令に含まれる前記端末装置のＩＰｖ６アドレスが、前記端末装置のＩＰｖ６アドレスとして前記記憶手段に存在するか否かを確認することにより前記認証を行うことができる。
【００１１】
また、前記パケット中継装置は、前記端末装置を認証するための認証情報を前記端末装置と対応付けて記憶手段に保持し、前記通過許否制御手段は、前記通過許否制御命令に含まれる認証情報が、前記端末装置の認証情報として前記記憶手段に存在するか否かを確認することにより前記認証を行うようにしてもよい。
【００１２】
また、本発明は、ＩＰｖ６パケットをＩＰｖ４トンネリングによりＩＰｖ４ネットワークを介して送受信する機能を備え、ＩＰｖ６ネットワークとＩＰｖ４ネットワーク間でＩＰｖ６パケットの中継を行うパケット中継装置であって、前記パケット中継装置は、セッション管理装置と相互認証に基づく暗号化チャネルにより接続され、当該セッション管理装置は、ＩＰｖ４ネットワークに接続された端末装置と相互認証に基づく暗号化チャネルにより接続され、ＩＰｖ６ネットワークに接続された他の端末装置と相互認証に基づく暗号化チャネルにより接続され、前記端末装置と前記他の端末装置間の通信のためのセッション情報を中継するシグナリング機能を備え、前記パケット中継装置は、ＩＰｖ６パケットの通過許否判断を行うための規則を含むポリシー情報と、前記ポリシー情報の内容に基づきＩＰｖ６パケットの通過許否を行うパケットフィルタリング手段と、前記セッション管理装置から、前記端末装置と前記他の端末装置間の通信に関するＩＰｖ６パケットの通過許否制御命令を受信し、当該通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段とを備えたことを特徴とするパケット中継装置として構成することもできる。
【００１３】
また、本発明は、第１のネットワークと第２のネットワーク間でパケットの中継を行うパケット中継装置であって、所定のプロトコルに基づくトンネルを介して第１のネットワークに接続された端末装置とパケットの送受信を行う手段と、前記パケットの通過許否判断を行うための規則を格納したポリシー情報と、前記ポリシー情報の内容に基づき前記パケットの通過許否を行うパケットフィルタリング手段と、第１のネットワークに接続された前記端末装置から、当該端末装置と他の端末装置間の通信に関するパケットの通過許否制御命令を、前記端末装置と前記パケット中継装置間のトンネルを介して受信し、当該通過許否制御命令が前記端末装置から送られたものであることの認証を行い、認証に成功した場合に前記通過許否制御命令に従って前記ポリシー情報の内容を変更する通過許否制御手段とを備えたことを特徴とするパケット中継装置として構成することもできる。
【発明の効果】
【００１４】
本発明によれば、トンネルサーバとして機能するパケット中継装置にファイアウォール機能を備え、認証されたファイアウォール制御命令に基づきポリシー情報を設定することとしたので、トンネルサーバを用いてＩＰｖ４トンネリングを行う場合でもファイアウォールによるパケット通過、廃棄制御を行うことが可能となり、また、ファイアウォール制御を動的にかつ安全に行うことが可能となる。  
【発明を実施するための最良の形態】
【００１５】
以下、図面を参照して本発明の実施の形態について説明する。
【００１６】
［第１の実施の形態］
まず、第１の実施の形態について説明する。図２に、第１の実施の形態におけるシステム構成を示す。図２に示す構成は、図１の構成と同様に、端末１がＩＰｖ４ネットワーク４に接続され、端末２及び端末３がそれぞれＩＰｖ６ネットワーク５に接続され、また、ＩＰｖ４ネットワーク４とＩＰｖ６ネットワーク５の両方に接続されるトンネルサーバ６が備えられている。端末１は、ＩＰｖ４対応ファイアウォール７の配下にある。
【００１７】
本実施の形態のトンネルサーバ６は、従来のＩＰｖ４トンネリング機能に加えてファイアウォール機能を備えている。すなわち、ＩＰｖ６ネットワーク５から受信するＩＰｖ６パケットに対しては、ＩＰｖ４カプセリングを行う前に、ＩＰｖ６パケットヘッダを参照してパケットのフィルタリングを行い、ＩＰｖ４ネットワーク４から受信するＩＰｖ４トンネルパケットに対しては、デカプセリングを行って取り出したＩＰｖ６パケットのヘッダを参照してフィルタリングを行う。図２に示す端末１−端末２間のように、トンネルサーバ６にて許可された場合にのみＩＰｖ６通信が行われる。
【００１８】
パケットフィルタリングに関し、トンネルサーバ６は例えば図３に示すポリシーテーブルを保持し、このポリシーテーブルを参照してフィルタリングを行う。図３に示すポリシーの場合、トンネルサーバ６が取得したＩＰｖ６パケットの送信元アドレスが[2001:aaaa::a]かつ送信先アドレスが[2001:bbbb::b]、又は、送信元アドレスが[2001:bbbb::b]かつ送信先アドレスが[2001:aaaa::a]であればパケットを通過させ、それ以外の場合はパケットを廃棄する。また、このポリシーテーブルは端末１から動的に設定可能である。
【００１９】
以下、図４のシーケンスチャートを参照して、端末１と端末２が通信を行う場合のシステムの動作を説明する。以下の動作において、トンネルサーバ６は、予め登録した端末の認証情報（ＩＤとパスワード）をその記憶装置に保持しているものとする。また、第１の実施の形態では、端末１は端末２のＩＰｖ６アドレス情報を予め有しているものとする。また、端末１とトンネルサーバ６間の通信パケットはＩＰｖ４対応ファイアウォール７を通過できるものとする。
【００２０】
まず、端末１は、トンネルサーバ６にＩＰｖ４により接続し、ＩＤとパスワードをトンネルサーバ６に送信する（ステップ１）。
【００２１】
トンネルサーバ６は、端末１から受信したＩＤ及びパスワードが、予め登録されたものであるかどうかを確認し（ステップ２）、予め登録されたものであることの確認が取れれば端末１に対してＩＰｖ６アドレスを払い出す（ステップ３）。また、端末１に対して払い出したＩＰｖ６アドレスを、端末１のＩＰｖ４アドレス及び認証情報（ＩＤとパスワード）と対応付けて記憶装置に記録しておく（ステップ４）。
【００２２】
以降、端末１とトンネルサーバ６間でのＩＰｖ６パケットのＩＰｖ４トンネル通信が可能となる。ただし、この時点では、トンネルサーバ６におけるポリシーテーブルには端末１の通信に関するポリシーは登録されていないので、端末１はＩＰｖ６ネットワーク５に接続された端末との通信を行うことができない。すなわち、この時点では、端末１はＩＰｖ６ネットワーク５からのアクセスから守られている。
【００２３】
次に、端末１は、ＵＰｎＰ（Universal Plug & Play）の機能を用いて、通信相手端末のＩＰｖ６アドレスを含むファイアウォール制御命令（ＵＰｎＰパケット）をトンネルサーバ６に送信する（ステップ５）。このＵＰｎＰパケットはＩＰｖ６パケットである。また、端末１はＵＰｎＰパケットをＩＰｖ４でカプセリングしてトンネルサーバ６に送信する。なお、ＵＰｎＰの機能を用いずにファイアウォール制御命令を送信してもよい。
【００２４】
トンネルサーバ６では、ＩＰｖ４トンネルパケットをデカプセリングしてＵＰｎＰパケットを取り出し、ＩＰｖ４トンネルパケットの送信元ＩＰｖ４アドレスとＵＰｎＰパケットの送信元ＩＰｖ６アドレスの組み合わせが記憶装置に登録されているかどうかをチェックすることにより当該ファイアウォール制御命令が、確かに端末１から送信されたものかどうかの認証を行う（ステップ６）。なお、ファイアウォール制御命令に認証情報を含め、その認証情報を用いて認証を行ってもよい。
【００２５】
そして、認証に成功し、ファイアウォール制御命令が端末１のアドレスに関する制御命令である場合に、トンネルサーバ６は、ファイアウォール制御命令の内容に基づきポリシーテーブルを書き換える（ステップ７）。例えば、ポリシーテーブルに図３の最下行のみが存在する場合において、ファイアウォール制御命令が、送信元端末アドレス[2001:aaaa::a]と送信先アドレス[2001:bbbb::b]間の相互通信許可を要求するものであれば、ポリシーテーブルには図３の１行目、２行目が記録されることになる。
【００２６】
その後、ＩＰｖ４トンネルを介して端末１と端末２間でＩＰｖ６パケットによる通信が行われる。本実施の形態によれば、ＩＰｖ４のみに対応したネットワークからトンネルサーバ６にトンネルを張った場合でも、ＩＰｖ６パケットによる不正アクセスを防止できるという効果がある。更に、ホームネットワーク等に備えられたＩＰｖ４ファイアウォールを越えてＵＰｎＰパケットを送信できるので、トンネルサーバ６のファイアウォールをＵＰｎＰにより動的に制御できるという効果がある。
【００２７】
［第２の実施の形態］
次に、第２の実施の形態について説明する。第２の実施の形態は、ＳＩＰ（Session Initiation Protocol）サーバを利用したセキュアなＰ２Ｐチャネル構築技術を利用して、ＳＩＰサーバもしくは端末からトンネルサーバに対するファイアウォール制御を行うものである。なお、ＳＩＰサーバを利用したセキュアなＰ２Ｐチャネル構築技術は特許文献２に記載されている。
【００２８】
図５にシステム構成例を示す。図５に示す通り、図２の構成に対し、ＳＩＰサーバ８がＩＰｖ６ネットワーク５上に追加された構成である。
【００２９】
各端末は第１の実施の形態で説明した機能に加えて、ＳＩＰサーバ８との間でＳＩＰメッセージによるシグナリングを実行するシグナリング機能を有している。
【００３０】
ＳＩＰサーバ８は、シグナリングを各端末との間で実行するシグナリング機能、端末間の接続許可等を制御する接続ポリシー制御機能、各端末を認証するための認証機能、端末の名前からＩＰアドレスを取得する名前解決機能、名前とＩＰアドレス等を対応付けて格納するデータベース等を備えている。
【００３１】
また、本実施の形態のトンネルサーバ６は、第１の実施の形態で説明した機能に加えて、各端末及びＳＩＰサーバ６とＳＩＰに基づく通信を行う機能を有している。また、ＳＩＰサーバ８とトンネルサーバ６とは相互認証に基づく暗号化チャネルで予め接続されており、端末１とＳＩＰサーバ８間のＩＰｖ６通信はトンネルサーバ６において許可されているものとする。
【００３２】
図５の構成において、端末１とトンネルサーバ６間のＩＰｖ４トンネルを構築するまでの動作は第１の実施の形態と同じである。すなわち、端末１はトンネルサーバ６にＩＰｖ４を用いて接続し、トンネルサーバ６はＩＤ、パスワードに基づき端末１の認証を行い、認証ＯＫであればＩＰｖ６アドレスを端末１に払い出す。
【００３３】
この後の動作を図６、図７のシーケンス図を用いて説明する。図６は、端末１と端末２間でセッション情報の交換を完了するまでの動作を示しており、ここでのシーケンスは端末１、ＳＩＰサーバ８、端末２間で実行されることから、図６ではトンネルサーバ６の図示を省略している。
【００３４】
図６において、まず端末１−ＳＩＰサーバ８間、端末２−ＳＩＰサーバ８間の各々でセキュアシグナリングチャネルを構築して、名前の登録を行う。詳細は下記の通りである。
【００３５】
予め端末１、端末２の各々の（セキュアシグナリングチャネル構築のための）ＩＤとパスワードがＳＩＰサーバ８に配布され、ＳＩＰサーバ８のＩＤ、パスワードが端末１、端末２に配布されている。まず、端末１−ＳＩＰサーバ８間でＩＰｓｅｃ等の暗号通信で用いる鍵情報の交換を行う（ステップ１１）。その後、自分のＩＤ、パスワードを含む情報を暗号化して相手側に送信することにより、相互に認証を行う（ステップ１２）。認証後は、セキュアシグナリングチャネル（暗号化シグナリングチャネル）が確立された状態となり、そのチャネルを用いて、端末１は名前とＩＰｖ６アドレスの登録をＳＩＰサーバ８に対して行う（ステップ１３）。端末１の通信相手となる端末２とＳＩＰサーバ８間でも同様のシーケンスが実行され、端末２の名前とＩＰｖ６アドレスがＳＩＰサーバ８に登録される（ステップ１４、１５、１６）。
【００３６】
その後、端末１から端末２への接続要求が、セキュアシグナリングチャネルを介して送信される（ステップ１７）。接続要求には、端末２の名前とセッション情報（端末１のＩＰｖ６アドレス、暗号通信用の鍵情報（暗号鍵生成用の情報）等）が含まれる。接続要求を受信したＳＩＰサーバ８は、端末１からの接続要求に関して、端末１が嘘をついていないことをチェックし（発信者詐称チェック）、更に、アクセス許可リストを用いて端末１と端末２の通信が許可されているかをチェックし（ステップ１８）、許可されていれば、名前解決機能を用いてデータベースを参照することにより端末２の名前から端末２のＩＰｖ６アドレスを取得し（ステップ１９）、セキュアシグナリングチャネルを介して端末２へ接続要求を転送する（ステップ２０）。端末１と端末２の通信が許可されていなければ、端末１の接続要求は拒否される。このとき、端末２に関する情報は端末１には全く送信されない。
【００３７】
接続要求を受信した端末２は、接続要求に対する応答として、自分のセッション情報（端末２のＩＰｖ６アドレス、暗号通信用の鍵情報等）を含む応答メッセージをセキュアシグナリングチャネルを介してＳＩＰサーバ８に送信し（ステップ２１）、ＳＩＰサーバ８が、ステップ１８と同様のポリシー制御等を行って、その応答メッセージを端末１に送る（ステップ２２）。
【００３８】
上記のシーケンスにおいて、セキュアシグナリングチャネルの確立及び名前登録のためにＲＥＧＩＳＴＥＲリクエストメッセージを用い、端末１−端末２間のセキュアデータチャネル確立のためにＩＮＶＩＴＥリクエストメッセージを用いる。また、ステップ１７の後の発信者詐称チェックは次のようにして行うことができる。
【００３９】
ＳＩＰサーバ８は、端末１の名前、ＩＰｖ６アドレス、ポート番号、端末１とＳＩＰサーバ８間のセキュアシグナリングチャネルのコネクションを識別する情報（例えばＩＰｓｅｃＳＡ）を対応付けて保持している。従って、ＳＩＰサーバ８は、ＩＮＶＩＴＥリクエストメッセージを受信したコネクション情報から、端末１の名前と端末１のＩＰｖ６アドレスとを把握でき、それらと、ＩＮＶＩＴＥリクエストメッセージの中のＦｒｏｍ行（メッセージの送信元の名前が記述される行）に記述された名前と、Ｃｏｎｔａｃｔ行（メッセージの送信元のＩＰｖ６アドレスが記述される行）に記述されるＩＰｖ６アドレスとを比較することにより、名前やＩＰｖ６アドレスに詐称がないことを判断できる。
【００４０】
ステップ２２により、端末１は端末２のＩＰｖ６アドレスを取得するので、そのＩＰｖ６アドレスを用いてトンネルサーバ６に対するファイアウォール制御を行う。
【００４１】
ファイアウォール制御は、第１の実施の形態の形態と同様にしてＵＰｎＰパケットを用いて行うことができる（図７の（ａ）の場合）。ＵＰｎＰパケットを用いることの他、ＳＩＰメッセージにファイアウォール制御命令を含め、端末１からＳＩＰサーバ８経由でトンネルサーバ６に対してＳＩＰメッセージを送信することによりファイアウォール制御を行うこともできる。この場合、端末１は、トンネルサーバが端末１を認証するための認証情報（例えばＩＰｖ６アドレス払い出し時に用いたＩＤとパスワード）をＳＩＰメッセージに含め、トンネルサーバ６は、その情報が、端末１のものとして予め格納された認証情報と一致するか否か（認証情報が端末１のＩＰｖ６アドレスと対応付けて格納されているか否か）を確認することにより、ＳＩＰメッセージが確かに端末１を発信元として送られたものであることを確認し、確認できた場合にのみポリシーテーブルの変更を行う（図７の（ｂ）の場合）。なお、トンネルサーバ６とＳＩＰサーバ８間、各端末とＳＩＰサーバ８間では、相互認証に基づく相互信頼関係が構築されているので、ファイアウォール制御命令に認証情報を含めなくてもよい。すなわち、トンネルサーバ６は、認証情報による認証を行うことなく、ＳＩＰサーバ８から受信するファイアウォール制御命令に従ってファイアウォール制御を行ってもよい。
【００４２】
また、ファイアウォール制御命令を含むＳＩＰメッセージをＳＩＰサーバ８がトンネルサーバ６に対して送信することによりファイアウォール制御を行ってもよい。この場合、図６のステップ２１において、端末２から送信された応答メッセージ（２００  ＯＫ  メッセージ）をＳＩＰサーバ８が受信した時点で、ＳＩＰサーバ８は端末１−端末２間でのＰ２Ｐ通信が行われると判断し、端末１−端末２間の通信が可能になるようにファイアウォール制御命令をトンネルサーバ６に送信する。トンネルサーバ６はＳＩＰサーバ８から送られたファイアウォール制御命令に基づきポリシーテーブルの変更を行う（図７の（ｃ）の場合）。
【００４３】
ファイアウォール制御により、トンネルサーバ６において端末１−端末２間の通信が許可された後、端末１−端末２間でのＰ２Ｐ通信が実施される。
【００４４】
なお、第１の実施の形態と第２の実施の形態において、ポリシーの削除もポリシーの追加と同様の手順で行うことが可能である。また、第２の実施の形態において、ＳＩＰサーバ８をＩＰｖ４ネットワーク上に設置することとしてもよい。この場合、端末１からＳＩＰサーバ８への接続はトンネルサーバ６を経由することなく行われる。
【００４５】
［機能構成］
次に、図８を参照して、端末１、トンネルサーバ、端末２の機能構成について説明する。なお、図８は、第１の実施の形態、第２の実施の形態のいずれにも対応可能な構成を示している。
【００４６】
図８に示す通り、トンネルサーバ６は、ＳＩＰ認証モジュール１１、ファイアウォール制御モジュール１２１を含むＳＩＰスタック１２、ＵＰｎＰモジュール１３、トンネルサービス用認証モジュール１４、ＩＰｖ６中継モジュール１５、ＩＰｖ６ファイアウォールモジュール１６、ＩＰｖ６モジュール１７、及びトンネルモジュール１８を有している。
【００４７】
端末１は、アプリケーション２１、ＳＩＰ認証モジュール２２、ファイアウォール制御モジュール２３１を含むＳＩＰスタック２３、ＵＰｎＰモジュール２４、トンネルサービス用認証モジュール２５、ＩＰｖ６モジュール２６、トンネルモジュール２７を有している。また、端末２は、アプリケーション３１、ＳＩＰスタック３２、ＩＰｖ６モジュール３３を有している。以下、主要な構成要素について詳細に説明する。
【００４８】
トンネルモジュール１８、２７は、ＩＰｖ６とＩＰｖ４間の変換を行うモジュールである。トンネルモジュール１８により、トンネルサーバ６は、端末１に対してＩＰｖ６パケットをＩＰｖ４でカプセリングして送信し、端末１から受信するパケットからＩＰｖ４ヘッダを取り外し、ＩＰｖ６パケットを抽出する。また、トンネルモジュール１８は、トンネルサービス用認証モジュール１４により端末１の認証が取れたときにＩＰｖ６アドレスを端末１に払い出す機能を有している。
【００４９】
トンネルサーバ６におけるトンネルサービス用認証モジュール１４は、端末１のトンネルサービス用認証モジュール２５により送られる認証情報に基づき端末１を認証する。また、端末１に払い出されたＩＰｖ６アドレスを端末１の識別情報及び認証情報と対応付けて記憶装置に格納し、端末１から受信したＵＰｎＰパケットの認証を第１の実施の形態で説明した方法で行う機能も有している。
【００５０】
ＵＰｎＰモジュール２４、１３は、ＵＰｎＰパケットを用いてファイアウォール制御を行う場合に使用されるモジュールである。端末１のＵＰｎＰモジュール２４は、ファイアウォール制御モジュール２３１にて生成されるファイアウォール制御命令を含むＵＰｎＰパケットを生成する。トンネルサーバ６のＵＰｎＰモジュール１３は、端末１から受信したＵＰｎＰパケットに基づく認証が成功した場合に、ＵＰｎＰパケットに記載されたファイアウォール制御命令をファイアウォール制御モジュール１２１に渡す。
【００５１】
トンネルサーバ６のファイアウォール制御モジュール１２１は、ファイアウォール制御命令をＩＰｖ６ファイアウォールモジュール１６に伝達し、ＩＰｖ６ファイアウォールモジュール１６はポリシーテーブルを変更する。また、ＩＰｖ６ファイアウォールモジュールは、ポリシーテーブルを参照してパケットのフィルタリングを行う。
【００５２】
トンネルサーバ６のＳＩＰ認証モジュール１１は、ファイアウォール制御命令を含むＳＩＰメッセージをＳＩＰスタックを介して受信する場合にＳＩＰメッセージの認証を行う機能を有し、第２の実施の形態で説明したように、ＳＩＰメッセージに含まれる認証情報を用いて認証を行うことが可能である。
【００５３】
なお、端末１、トンネルサーバ、端末２はそれぞれＣＰＵ、記憶装置、通信装置等を有するコンピュータに、図に示す機能を実現するためのプログラムを搭載することにより実現されるものである。また、図８に示した構成は一例であり、第１の実施の形態、第２の実施の形態で説明した動作を実現できる構成であればどのような構成を採用してもよい。
【００５４】
［効果について］
これまでに説明したトンネルサーバ６を導入することにより、ＩＰｖ４のみに対応したホームネットワークからトンネルサーバ６にトンネルを張った場合でも、ＩＰｖ６パケットによる不正アクセスを防止できる。
【００５５】
また、トンネルサーバ６にユーザ固有のセキュリティポリシーを保存しておくことにより、ホテルや空港等、どこからトンネルサーバ６に接続しても同じセキュリティポリシーに基づき、端末をインターネットに接続させることが可能になる。
【００５６】
また、実施の形態ではＩＰｖ４トンネルサービスを例にとり説明したが、トンネルサーバにトンネルの内側のパケットに対するファイアウォール機能を設けるという仕組みは、ＩＰｖ４以外の種々のトンネルサービスに適用することが可能である。例えば、ホームネットワーク内の端末から、インターネットを介して会社のゲートウェイサーバにＶＰＮ接続する場合において、会社のネットワークとホームネットワーク間の通信を制御するために、会社のゲートウェイサーバ内に設けたファイアウォールを本発明の実施の形態で説明した方法で制御することが可能である。これにより、ホームネットワーク内の端末への会社ネットワークからの不許可アクセスを防止できる。
【００５７】
なお、本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【図面の簡単な説明】
【００５８】
【図１】従来のＩＰｖ４トンネリング技術の概要を説明するための図である。
【図２】第１の実施の形態におけるシステム構成図である。
【図３】トンネルサーバ６が保持するポリシーテーブルの一例である。
【図４】第１の実施の形態におけるシステムの動作を説明するためのシーケンス図である。
【図５】第２の実施の形態におけるシステム構成図である。
【図６】第２の実施の形態におけるシステムの動作を説明するためのシーケンス図である。
【図７】第２の実施の形態におけるシステムの動作を説明するためのシーケンス図である。
【図８】端末１、トンネルサーバ、端末２の機能構成図である。
【符号の説明】
【００５９】
１、２、３  端末
４  ＩＰｖ４ネットワーク
５  ＩＰｖ６ネットワーク
６  トンネルサーバ
７  ＩＰｖ４ファイアウォール
８  ＳＩＰサーバ
１１、２２  ＳＩＰ認証モジュール
１２１、２３１  ファイアウォール制御モジュール
１２、２３、３２  ＳＩＰスタック
１３、２４  ＵＰｎＰモジュール
１４、２５  トンネルサービス用認証モジュール
１５  ＩＰｖ６中継モジュール
１６  ＩＰｖ６ファイアウォールモジュール
１７、２６、３３  ＩＰｖ６モジュール
１８、２７  トンネルモジュール
２１、３１  アプリケーション
【図１】
2006352710.tif 000003
【図２】
2006352710.tif 000004
【図３】
2006352710.tif 000005
【図４】
2006352710.tif 000006
【図５】
2006352710.tif 000007
【図６】
2006352710.tif 000008
【図７】
2006352710.tif 000009
【図８】
2006352710.tif 000010